GKE Autopilot集群添加与管理SSL证书的替代方案咨询

以下方案均绕过cert-manager webhook依赖，完全适配GKE Autopilot的权限限制：

方案1：使用GCP托管证书（最推荐） #

这是GKE原生支持的无侵入方案，无需在集群内部署额外证书管理组件，GCP自动完成证书签发、续期、轮转全流程，支持多域名、泛域名。
操作步骤：

1. 创建ManagedCertificate自定义资源：

apiVersion: networking.gke.io/v1
kind: ManagedCertificate
metadata:
  name: your-domain-cert
spec:
  domains:
    - your-domain.com
    - *.your-domain.com

2. 绑定到GKE Ingress：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: your-service-ingress
  annotations:
    kubernetes.io/ingress.class: "gce"
    networking.gke.io/managed-certificates: "your-domain-cert"
spec:
  rules:
  - host: your-domain.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: your-service
            port:
              number: 80

方案2：部署无webhook模式的cert-manager #

如果需要保留cert-manager的使用习惯，可在安装时禁用webhook和ca-injector组件，仅保留核心证书管理能力，搭配DNS01挑战完成证书签发，基础的签发、续期功能不受影响。
Helm安装命令示例：

helm install cert-manager jetstack/cert-manager \
  --namespace cert-manager \
  --create-namespace \
  --version v1.13.0 \
  --set webhook.enabled=false \
  --set cainjector.enabled=false

注意：该模式下cert-manager的准入校验、自动注入CA等进阶功能会失效，仅适合仅需要基础证书管理能力的场景。

方案3：绑定预上传的自定义证书 #

如果已有现成的SSL证书，可先上传到GCP SSL证书服务，直接绑定到Ingress使用，无需集群内运行任何证书相关组件，稳定性最高。

1. 上传证书到GCP：

gcloud compute ssl-certificates create your-custom-cert \
  --certificate=./fullchain.pem \
  --private-key=./privkey.pem

2. 在Ingress中指定预共享证书：

metadata:
  annotations:
    networking.gke.io/pre-shared-certs: "your-custom-cert"

方案4：Istio网关托管证书 #

如果集群已部署Istio服务网格，可将证书存为Kubernetes Secret直接绑定到Istio Gateway资源，配合acme.sh等本地工具定时生成、更新Secret即可，不需要依赖集群内webhook组件。

内容的提问来源于stack exchange，提问作者Ogala